Seorang mahasiswa asal Bandung berhasil menemukan celah keamanan pada Claude Code Action, fitur Anthropic yang menjalankan Claude di GitHub Issue dan Pull Request. Temuan itu diganjar bug bounty senilai US$3.700, atau sekitar Rp66 juta, lewat program resmi Anthropic di HackerOne.
Mahasiswa tersebut adalah Muhamad Arga Reksapati, dari Program Studi Teknik Informatika Universitas Teknologi Bandung (UTB). Kamu mungkin familiar dengan Claude Code Action kalau sering pakai Claude untuk automasi review kode atau bantu ngerjain issue di GitHub. Nah, celah yang ditemukan Arga ada di bagian yang cukup krusial dari alur kerja itu.
Apa yang Sebenarnya Ditemukan Arga?
Celahnya ada di mekanisme yang menjaga konsistensi data pada GitHub Issue dan Pull Request. Dalam kondisi tertentu, mekanisme ini bisa dilewati lewat proses pemrosesan gambar, sehingga Claude berpotensi membaca informasi yang sudah berubah setelah proses awal berjalan.
Dampaknya, instruksi yang diproses AI bisa bergeser dari kondisi awal dan menghasilkan output yang tidak semestinya. Ini masuk kategori bug yang berhubungan dengan integritas input, bukan soal AI-nya “diakali” secara langsung.
Anthropic sendiri sudah memverifikasi laporan ini lewat tim keamanan internal mereka sebelum mencairkan bounty-nya.
Bukan Anak IT dari Awal
Latar belakang Arga justru yang bikin cerita ini menarik. Ia lulusan SMK jurusan Teknik Mesin, bukan dari sekolah berbasis IT. Ketertarikannya pada keamanan siber sudah muncul sejak SMP, dan ia belajar sepenuhnya secara otodidak dari internet.
Arga mempelajari dasar pemrograman, membaca source code, membuat proof of concept, sampai aktif ikut berbagai program bug bounty internasional untuk mengasah kemampuannya. Baru setelah itu ia melanjutkan kuliah di Teknik Informatika UTB dan memperdalam keahliannya secara lebih terstruktur.
AI Cuma Alat Bantu, Bukan Pengganti Analisis Manual
Menariknya, Arga juga memanfaatkan AI selama riset, tapi cuma untuk mempercepat analisis awal dan menyusun hipotesis. Proses verifikasi dan pembuktian kerentanan tetap ia lakukan manual.
Ini poin yang relevan buat kamu yang juga tertarik masuk ke dunia bug bounty: AI bisa mempercepat kerja, tapi laporan yang mengandalkan AI tanpa validasi langsung dari peneliti berisiko menghasilkan temuan yang kurang akurat. Anthropic maupun perusahaan lain umumnya tetap butuh bukti yang teruji manual, bukan sekadar output AI.
Baca Juga : 10 AI Tools untuk Coding : Gratis vs Berbayar, Mana yang Worth It ?
Rp66 Juta Dibayar Lewat HackerOne
Setelah laporan dinyatakan valid, Anthropic membayar bounty senilai US$3.700 (sekitar Rp66 juta) melalui HackerOne, platform yang jadi penyelenggara resmi program bug bounty mereka. Anthropic tidak memberikan sertifikat penghargaan, kompensasinya murni finansial, disesuaikan dengan tingkat keparahan (severity) dari kerentanan yang ditemukan.
Program serupa juga dijalankan perusahaan teknologi besar lain seperti Google, Microsoft, Meta, dan OpenAI. Buat perusahaan AI khususnya, program bug bounty jadi salah satu lini pertahanan penting mengingat kompleksitas sistem yang mereka jalankan, termasuk integrasi AI dengan tools eksternal seperti GitHub.
Sinyal Talenta Cybersecurity Indonesia di Panggung Global
Prestasi Arga bukan sekadar cerita satu mahasiswa dapat bounty. Ini juga jadi salah satu bukti bahwa peneliti keamanan asal Indonesia mampu menembus program bug bounty perusahaan teknologi kelas dunia, termasuk perusahaan AI sebesar Anthropic yang produknya dipakai jutaan pengguna.
Buat kamu yang tertarik terjun ke bug bounty atau riset keamanan siber, jalur yang ditempuh Arga bisa jadi peta jalan realistis: mulai dari belajar dasar pemrograman secara otodidak, aktif ikut program bug bounty kecil-kecilan untuk latihan, sampai akhirnya berani submit temuan ke program besar seperti milik Anthropic. Latar belakang pendidikan formal jelas bukan syarat mutlak di bidang ini.
Kesimpulan
Temuan Arga menunjukkan dua hal sekaligus: pertama, kerentanan pada sistem AI enterprise seperti Claude Code Action tetap bisa muncul di titik integrasi yang kompleks, bukan cuma di model AI itu sendiri. Kedua, latar belakang pendidikan formal bukan penentu utama buat bisa berkontribusi di keamanan siber tingkat global, ketekunan belajar otodidak terbukti cukup membawa Arga sampai diakui langsung oleh Anthropic.
